Zones de Shorewall per als dos camins de paquets d’OpenVPN
Separeu el transport xifrat d’OpenVPN del trànsit de client desxifrat, doneu al túnel la seva pròpia zona i permeteu només el servei que el client necessita.
Dos fluxos de paquets travessen una passarel·la Shorewall que acaba OpenVPN, i només un d’ells va xifrat. El primer és el transport del client fins a l’oient de VPN a la interfície orientada a internet. El segon és la petició desxifrada que surt de la interfície del túnel cap a un servidor d’oficina o un servei de la passarel·la. Dibuixeu tots dos abans d’editar la política, perquè una regla que satisfà el primer no fa res pel segon.
Dibuixeu els dos fluxos abans d’editar la política
Escriviu els fluxos com a files amb origen, destinació, protocol i port. Al camí exterior, l’origen és l’adreça pública del client i la destinació és el port de l’oient de la passarel·la; Shorewall ho tracta com a trànsit d’internet cap al tallafoc. Al camí interior, l’origen és el rang d’adreces del túnel i la destinació és el servei aprovat. Les dues files tenen propietaris diferents fins i tot quan un sol administrador manté les dues.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
Afegiu una fila només si la petició acaba a la mateixa passarel·la, com ara l’accés al resolutor o a la gestió. Un servei a l’amfitrió segueix la política d’entrada de l’amfitrió, no el camí reenviat. Barrejar les dues coses és com una regla estreta del túnel acaba exposant una interfície d’administració.
Assigneu la zona del túnel i l’abast de la interfície
La zona del viatger es declara a /etc/shorewall/zones, la interfície del túnel s’adjunta a /etc/shorewall/interfaces i la connexió exterior es descriu a /etc/shorewall/tunnels. Adapteu-vos a la sintaxi de la versió instal·lada, perquè l’ordre de les columnes i els noms de les opcions han canviat entre versions principals. El port d’exemple de la guia no és cap motiu per permetre un port diferent del que el dimoni realment escolta. TCP i UDP no són intercanviables només perquè els nombres coincideixin.
La guia agrupa les interfícies amb tun+. En un amfitrió amb més d’un túnel, aquest comodí pot posar una segona VPN d’un nivell de confiança diferent a la mateixa zona. Reviseu l’abast contra les interfícies que existeixen realment i manteniu l’anomenament sota el cicle de vida del gestor de connexions en lloc d’editar els noms de les interfícies a mà.
La guia històrica conté mostres de configuració d’OpenVPN molt més antigues, i els seus consells criptogràfics no s’han de copiar en un desplegament actual. Agafeu-ne prestat el model de zones i fluxos. Preneu la base criptogràfica de la política d’OpenVPN mantinguda a la passarel·la.
Permeteu només el camí que heu classificat
Una acceptació àmplia de la zona VPN a la LAN és un esquema inicial, no una política acabada. Escriviu l’origen de client permès, l’adreça real del servei, el protocol i el port. Després llegiu les regles que hi ha a sobre i el valor per defecte de la zona, perquè una addició estreta no cancel·la un permís ampli que ja coincideix. El trànsit cap a l’amfitrió de la passarel·la és una relació separada del trànsit reenviat a través seu.
El trànsit entre clients necessita la seva pròpia decisió. El client-to-client d’OpenVPN i el routeback de Shorewall afecten tots dos si els clients es poden abastar, i cap dels dos no s’ha d’activar només per fer funcionar una aplicació de LAN. Decidiu on s’aplica l’aïllament abans de provar-ho.
Manteniu el camí de resposta al mateix pla. El servei o el seu encaminador ha de saber com tornar el trànsit al rang del túnel, o bé el disseny ha de traduir l’origen deliberadament i dins l’abast previst.
Valideu i després demostreu els dos camins
Valideu la configuració abans de reiniciar res i manteniu una sessió administrativa independent oberta per si la nova política és incorrecta.
shorewall checkDesprés d’una comprovació neta, apliqueu la configuració i rellegiu què ha carregat Shorewall. Aquestes lectures descriuen la política en execució, no el que sembla dir un fitxer.
shorewall show zones
ip route get 192.168.10.20Proveu una petició permesa nova i una petició denegada deliberadament des del mateix client. Un intercanvi de mans d’OpenVPN correcte només demostra l’intercanvi exterior; el servei permès i el recurs denegat demostren la política interior que volíeu. Després reconnecteu el client i repetiu-ho, perquè el nom i l’adreça de la interfície del túnel poden canviar entre sessions. Si el resultat difereix, corregiu l’abast de la zona en lloc d’ampliar la regla.